واژگان بسته هاي اطلاعاتي

– ۱ : واژگان بسته های اطلاعاتی ( Packets )
       در هر یک از لایه های TCP/IP از بسته اطلاعاتی  با اسامی متفاوتی نام برده می شود . همزمان با حرکت یک بسته اطلاعاتی از یک لایه به لایه دیگر در پروتکل TCP/IP ، هر یک از پروتکل های مربوطه ، اطلاعات اختصاصی خود را به آن اضافه می نمایند. از بسته اطلاعاتی بهمراه اطلاعات اضافه شده به آن ، با اسامی فنی دیگر ، یاد می گردد. این اسامی:  سگمنت  پیام        دیتاگرام    و  فریم    می باشند.
  سگمنت : سگمنت واحد انتقال اطلاعات در TCP بوده و شامل یک TCP header است که توسط Application data ، همراهی شده است .
پیام : پیام ، واحد انتقال اطلاعات در پروتکل هائی نظیر ICMP,UDP,IGMP و ARP است . پیام شامل یک Protocol header بوده که توسط Application و یا protocol data ، همراهی شده است .
   دیتاگرام: دیتاگرام ، واحد انتقال اطلاعات در سطح لایه IP است . دیتاگرام شامل یک IP    header است که توسط لایه transport ، همراهی شده است .
   فریم : فریم  واحد انتقال اطلاعات در سطح لایه اینترفیس شبکه است فریم شامل یک header است که در لایه network به آن اضافه شده است که توسط داده لایه IP همراه شده است .

۱-۲ : اجزاء یک فریم
         یک فریم ( اصطلاحی برای یک بسته اطلاعاتی در سطح لایه شبکه ) شامل سه بخش اساسی  header , data و trailer است .
 

Header اطلاعات موجود در این بخش شامل موارد زیر می باشد :
یک سیگنال هشداردهنده مبنی بر ارسال یک بسته اطلاعاتی
آدرس مبداء
آدرس مقصد
Data
       در این بخش  اطلاعات واقعی ارسال شده توسط برنامه ، قرار می گیرد. این بخش از بسته اطلاعاتی دارای اندازه های متفاوتی است ( بستگی به محدودیت اندازه تنظیم شده توسط شبکه دارد) . بخش Data ، در اکثر شبکه ها از نیم کیلو بایت تا چهار کیلو بایت را می تواند شامل شود. در شبکه های اترنت ، اندازه داده تقریبا” معادل یک و نیم کیلو بایت است . با توجه به اینکه اکثر تنظیمات داده های اولیه ، بیش از چهار کیلو بایت می باشند ،می بایست داده به بخش های کوچکتری با نام ” بسته های اطلاعاتی ”   تقسیم گردد. در زمان انتقال یک فایل با ظرفیت بالا ، بسته های اطلاعاتی زیادی در طول شبکه منتقل خواهند شد.
Trailer  محتویات trailer  ارتباط مستقیم به پروتکل استفاده شده در لایه اینترفیس شبکه دارد  trailer ، معمولا” شامل بخشی بمنظور بررسی خطاء بوده که Cyclical redundancy check ، نامیده می شود CRC ، عددی است که توسط یک محاسبه ریاضی بر روی بسته اطلاعاتی در مبداء ( فرستنده) ، تولید می گردد . زمانیکه بسته اطلاعاتی به مقصد خود می رسد ، مجددا” محاسبه مربوطه انجام خواهد شد. در صورتیکه نتایج بدست آمده ، یکسان باشد ، نشاندهنده صحت ارسال یک بسته اطلاعاتی خواهد بود . در صورتیکه ماحصل محاسبه در مقصد با نتیجه محاسبه شده در مبداء ، مغایرت داشته باشد ، بدین مفهوم خواهد بود که داده در زمان انتقال ، تغییر نموده است . در چنین حالتیکامپیوتر مبداء  مجددا” داده را ارسال خواهد کرد .
جریان انتقال اطلاعات از کامپیوتر مبداء تا کامپیوتر مقصد  :
          بسته های اطلاعاتی ارسال شده از یک کامپیوتر برای کامپیوتر دیگر از بین لایه های متعدد پروتکل TCP/IP عبور خواهند کرد . بموازات رسیدن یک بسته اطلاعاتی به یک لایه ، پروتکل های موجود در آن ، اطلاعات خاصی را به آن اضافه خواهند کرد . اطلاعات اضافه شده  ضمیمه شده  توسط هر پروتکل ، شامل اطلاعاتی در رابطه با بررسی خطاء بوده که Checksum ، نامیده می شود. از Checksum ، بمنظور بررسی صحت ارسال اطلاعات اضافه شده در header توسط پروتکل مربوطه ، در پروتکل مقصد استفاده می گردد  اطلاعات می بایست بی کم و کاست در اختیار پروتکل مقصد قرار بگیرند  .فراموش نکنیم که CRC ، صحت انتقال یک بسته را بطور کامل بررسی می نماید. اطلاعات اضافه شده توسط پروتکل ها در هر لایه ، بعنوان داده توسط پروتکل های لایه زیرین ( پایین ) کپسوله خواهند شد. زمانیکه بسته اطلاعاتی به مقصد مورد نظر می رسد ، لایه مربوطه ( منتاظر ) یک بخش از header را برداشته و با باقی بسته اطلاعاتی بعنوان داده برخورد خواهد کرد . بسته اطلاعاتی در ادامه بسمت پروتکل های موجود در لایه بالاتر ارسال و دراختیار پروتکل مربوطه قرار خواهد گرفت . در ادامه عملکرد هر یک از لایه ها را در فرآیند انتقال اطلاعات بررسی و این موضوع را از زاویه کامپیوتر مبداء و مقصد دنبال خواهیم نمود .
 

لایه Application
       فرآیند انتقال اطلاعات از لایه   application آغاز می گردد . یک برنامه نظیر FTP  پردازش را در کامپیوتر مبداء مقدار دهی اولیه می نماید(آماده نمودن داده به فرمتی که برنامه در کامپیوتر مقصد ، قادر به تشخیص آن باشد) . برنامه موجود در کامپیوتر مبداء ، کنترل تمامی فرآیند را برعهده خواهد داشت .

۱- ۳ : لایه Transport
              از لایه Application داده به لایه transport منتقل می گردد. این لایه شامل پروتکل های TCP و UDP است .  برنامه مورد نظر نوع پروتکل “حمل” را مشخص می نماید TCP یا  UDP در هر دو حالت  Checksum  برای TCP و UDP اضافه خواهد شد.
در صورتیکه پروتکل TCP ، انتخاب گردد :
     یک دنباله عددی ( Sequence number ) به هر سگمنت منتقل شده  اضافه خواهد شد. اطلاعات مربوط به Acknowledgment برای یک ارتباط ” اتصال- گرا” به هر سگمنت اضافه می شود .
   شماره پورت TCP در رابطه با برنامه های مبداء و مقصد ، اضافه خواهد شد.
در صورتیکه پروتکل UDP ، انتخاب گردد :
شماره پورت UDP در رابطه با برنامه های مبداء و مقصد ، اضافه خواهد شد.
۱-۴  : لایه اینترنت
          پس از اینکه اطلاعات “حمل ” اضافه گردید  بسته اطلاعاتی در اختیار لایه اینترنت  قرار داده می شود. در این لایه ، اطلاعات زیر به header اضافه می گردد :
آدرس IP مبداء
آدرس IP مقصد
نوع پروتکل “حمل ”
مقدار checksum
اطلاعات TTL  ( Time to Live)
     علاوه بر اطلاعات فوق ، لایه اینترنت مسئولیت بر طرف نمودن آدرس های IP مقصد به یک آدرس MAC را نیز بر عهده دارد . پروتکل ARP ، مسئول انجام عملیات فوق  است . آدرس MAC به header بسته اطلاعاتی اضافه و در ادامه بسته اطلاعاتی در اختیار لایه ” اینترفیس شبکه ”  قرار داده می شود.
۱- ۵ : لایه “اینترفیس شبکه ”
        لایه فوق  پس از دریافت یک بسته اطلاعاتی از لایهIP ، اطلاعات زیر را به آن اضافه خواهد کرد :
یک Preamble مقدمه دنباله ای از بایت ها است که ابتدای یک “فریم ” را مشخص  می نماید .
یک CRC ماحصل یک محاسبه ریاضی است که به انتهای فریم اضافه و از آن بمنظور صحت ارسال فریم ، استفاده می گردد.
پس ازافزودن اطلاعات مورد نظر به فریم ها در لایه اینترفیس شبکه ، در ادامه فریم ها بر روی شبکه ارسال خواهند شد.
۱- ۶ :عملیات در کامپیوتر مقصد
       زمانیکه فریم ها به کامپیوتر مقصد می رسند  لایه اینترفیس شبکه Preamble را حذف و مقدار CRC را مجددا” محاسبه می نماید. در صورتیکه مقدار بدست آمده با مقدار محاسبه شده در مبداء  یکسان باشد در ادامه آدرس MAC مقصد ، موجود بر روی فریم بررسی می گردد . در صورتیکه آدرس MAC ، یک آدرس Broadcast و یا آدرس MAC با کامپیوتر مقصد مطابقت نماید ، فریم به لایه “اینترنت ”  ارسال خواهد شد. در غیر اینصورت فریم نادیده گرفته می شود. در لایه IP  مجددا” Checksum محاسبه و با مقدار محاسبه شده قبل از انتقال  مقایسه تا این اطمینان حاصل گردد که بسته اطلاعاتی در طول مسیر تغییر ننموده است . در ادامه  IP  بسته اطلاعاتی را در اختیار پروتکل “حمل”  قرار می دهد TCP یا UDP بمنظور تصمیم گیری در رابطه با نوع پروتکل “حمل ”  از اطلاعات موجود در IP header استفاده می گردد. در لایه “حمل”  در صورتیکه بسته اطلاعاتی از TCP دریافت شده باشد  دنباله عددی  sequence number بر روی بسته اطلاعاتی بررسی و یک acknowledgement برای TCP کامپیوتر مبداء ارسال می گردد . در ادامه از اطلاعات پورت TCP موجود در بسته اطلاعاتی استفاده تا بسته اطلاعاتی برای برنامه مربوطه در لایهApplication ، ارسال گردد.
در صورتیکه UDP بسته اطلاعاتی را از لایه “اینترنت” دریافت نماید ، از اطلاعات پورت UDP موجود در بسته اطلاعاتی استفاده تا آن را برای برنامه مربوطه در لایه Application ارسال نماید . بدون ارسال یک acknowledgement برای کامپیوتر مبداء  
پس از دریافت اطلاعات توسط Appliaction  پردازش های لازم و ضروری در ارتباط با آنها انجام خواهد شد.
          جریان داده در شبکه ای که صرفا” شامل یک سگمنت است عملیات ساده ای خواهد بود . در چنین شبکه هائی ، کامپیوترهای ارسال کننده ، یک درخواست Broadcast را بمنظور مشخص نمودن آدرس MAC کامپیوتر مقصدی که قصد ارسال اطلاعات برای آن وجود دارد ، ارسال می نمایند . فرآیند ارسال اطلاعات در شبکه هائی که شامل چندین سگمنت می باشند  بدین صورت نخواهد بود . در شبکه هائی شامل چندین سگمنت  فرآیند انتقال اطلاعات بمراتب پیچیده تر خواهد بود. در چنین محیط هائی  TCP/IP مسیرهای متعددی را بمنظور ارتباط کامپیوترهای موجود در شبکه ارائه و از ارتباطات غیر ضروری در این خصوص  پیشگیری می نماید .
درمحیطی که شامل چندین شبکه مرتبط با یکدیگر است ، ممکن است کامپیوترهای مبداء و مقصد در یک سگمنت یکسان نباشند . بدین منظور  آدرس IP کامپیوتر مقصد بررسی تا این اطمینان حاصل گردد که موقعیت کامپیوتر مقصد نسبت به کامپیوتر مبداء ، محلی  بر روی یک سگمنت  و یا از راه دور موجود بر روی سگمنت دیگر  است .در صورتیکه کامپیوتر مقصد در راه دور سگمنت دیگر باشد  داده نمی تواند مستقیم برای وی ارسال گردد . در چنین مواردی لایه IP داده مورد نظر را برای یک روتر ارسال می نماید . روتر بسته اطلاعاتی دریافتی را به مقصد مورد نظر  ارسال ( فوروارد ) می نماید .
۲- ۱ : روتینگ IP
                شبکه های بزرگ TCP/IP که از آنان با عنوان شبکه های مرتبط بهم  Internetworks یاد می گردد  خود به بخش های ( سگمنت ) کوچکتری تقسیم تا بتوانند میزان مبادله اطلاعات و ترافیک موجود در یک سگمنت را کاهش نمایند . Internetwork ، شبکه ای مشتمل بر چندین سگمنت است که توسط روترها به یکدیگر مرتبط می گردد . اولین و در عین حال مهمترین وظیفه یک روترارتباط دو و یا چندین سگمنت فیزیکی با یکدیگر است . روترها ، بسته های اطلاعاتی لایه IP را از یک سگمنت در شبکه به سگمنت دیگر ارسال می نمایند . فرآیند فوق  فورواردینگ بسته های IP   روتینگ نامیده می شود. روترها دو و چندین سگمنت را بیدیگر متصل و امکان حرکت ارسال  بسته های اطلاعاتی از یک سگمنت به سگمنت دیگر را فراهم می نمایند.

۲- ۲ : توزیع بسته های اطلاعاتی
        بسته های اطلاعاتی فوروارد شده ، با توجه به ماهیت مقصد خود  حداقل یک و یا دو نوع توزیع را دنبال خواهند کرد. در این رابطه از دو نوع توزیع و با نام های توزیع مستقیم و یا غیر مستقیم  استفاده می گردد :
توزیع مستقیم
          از روش فوق ، زمانی استفاده می گردد که کامپیوتر ارسال کننده، یک بسته اطلاعاتی را برای کامپیوتری ارسال می نماید که بر روی همان سگمنت قرار دارد ( موقعیت فیزیکی کامپیوترهای فرستنده و گیرنده بر روی یک سگمنت یکسان است ) . در چنین مواردی  کامپیوتر مورد نظر بسته اطلاعاتی را بر اساس یک فریم قالب بندی و آن را برای لایه اینترفیس شبکه ارسال می نماید آدرس دهی بسته اطلاعاتی مربوطه ، بر اساس آدرس MAC کامپیوتر مقصد ، انجام خواهد شد .
توزیع غیر مستقیم
          از روش فوق ، زمانی استفاده می گردد که کامپیوتر ارسال کننده ، بسته اطلاعاتی را برای یک روتر فوروارد می نماید ( مقصد نهائی بسته اطلاعاتی در همان سگمنت نمی باشد) . در چنین مواردی  کامپیوتر مورد نظر بسته اطلاعاتی را بر اساس یک فریم قالب بندی و آن را برای لایه اینترفیس شبکه ارسال می نماید . آدرس دهی بسته اطلاعاتی مربوطه ، بر اساس آدرس MAC روتر، انجام خواهد شد .

۲- ۳ : جدول روتینگ
          بمنظور مشخص نمودن  مقصدی که می بایست یک بسته اطلاعاتی فوروارد گردد  روترها از جداول روتینگ برای ارسال داده بین سگمنت های شبکه استفاده می نمایند. جدول روتینگ  در حافظه ذخیره و مسئول نگهداری اطلاعات ضروری در خصوص سایر شبکه های مبتنی بر IP و میزبانان است . جداول روتینگ  همچنین اطلاعات ضروری را برای هر میزبان محلی بمنظور آگاهی از نحوه ارتباط با با سایر شبکه ها و میزبانان را دور ارائه می نمایند .
برای هر کامپیوتر موجود بر روی یک شبکه مبتنی بر IP  می توان یک جدول روتینگ را نگهداری کرد. سیاست فوق در خصوص شبکه های بزرگ عملی نبوده و از یک روتر پیش فرض بمنظور نگهداری جدول روتینگ استفاده می گردد .
          جداول روتینگ می توانند بصورت ایستا و یا از نوع پویا باشند  تفاوت عمده به نحوه بهنگام سازی آنان برمی گردد جدول روتینگ ایستا ، بصورت دستی بهنگام می گردد . بنابراین، جداول فوق شامل آخرین وضعیت موجود در شبکه نخواهد بود  در مقابل ، جداول روتینگ پویا بصورت اتوماتیک بهنگام و همواره شامل آخرین اطلاعات موجود خواهند بود .
ارسال اطلاعات بین روترها لایه IP  دارای نقشی بسیار مهم در رابطه با ارسال اطلاعات بین شبکه های متعدد است .
 بسته ها ی اطلاعاتی مبادله و بر اساس شرایط موجود و با استفاده از IP مربوطه درلایه اینترنت کامپیوتر مبداء  کامپیوتر مقصد و یا روترهای موجود در مسیر مربوطه  پردازش های لازم بر روی آنان انجام خواهد شد.
    بمنظور ارسال داده بین دو کامپیوتر موجود در سگمنت های متفاوت شبکه  لایه IP از اطلاعات موجود در یک جدول محلی روتینگ در جهت یافتن مسیر مناسب دسترسی به کامپیوتر مقصد استفاده می نماید( مشاوره اطلاعاتی ! )  در صورت یافتن مسیر مناسب  بسته اطلاعاتی با استفاده ازمسیر فوق  ارسال خواهد شد. در غیر اینصورت بسته های اطلاعاتی برای روتر پیش فرض فوروارد می گردند .
۲- ۴ : عملکرد لایه IP در کامپیوتر مبداء
        لایه IP  علاوه بر افزودن اطلاعاتی نظیر TTL  همواره آدرس IP کامپیوتر مقصد را به بسته اطلاعاتی اضافه می نماید. در مواردیکه توزیع بسته های اطلاعاتی از نوع مستقیم باشد از ARP استفاده و آدرس MAC کامپیوتر مقصد به آن اضافه گردد . در مواردیکه توزیع اطلاعات از نوع غیر مستقیم باشد  از ARP استفاده و آدرس MAC روتری که می بایست بسته های اطلاعاتی برای آن فوروارد گردد به آن اضافه خواهد شد.
۲- ۵ : عملکرد لایه IP در روتر
           پس از دریافت یک بسته اطلاعاتی توسط روتر لایه IP مربوطه مسئول مشخص نمودن محل ارسال بسته اطلاعاتی است . برای نیل به هدف فوق ، مراحل زیر دنبال خواهد شد :
لایه IP  بررسی لازم در خصوص Checksum و آدرس IP مقصد را انجام می دهد . اگر آدرس IP  مربوط به روتر باشد  روتر پردارش های لازم در خصوص بسته اطلاعاتی را بعنوان کامپیوتر مقصد انجام خواهد داد ( IP در مقصد )  در ادامه لایه IP  مقدارTTL را کاهش و جدول روتینگ مربوطه را بمنظور یافتن مناسبترین مسیر بمنظور رسیدن به آدرس IP مقصد  بررسی می نماید .
در مواردیکه توزیع بسته های اطلاعاتی از نوع مستقیم باشد از ARP استفاده و آدرس MAC کامپیوتر مقصد به آن اضافه گردد . در مواردیکه توزیع اطلاعات از نوع غیر مستقیم باشد  از ARP استفاده و آدرس MAC روتری که می بایست بسته های اطلاعاتی برای آن فوروارد گردد، به آن اضافه خواهد شد .
تمامی مراحل فوق در ارتباط با هر یک از روترهای موجود در مسیر بین کامپیوتر مبداء و مقصد تکرار خواهد شد. پس از دریافت بسته اطلاعاتی توسط روتری که در همان سگمنت کامپیوتر مقصد موجود می باشد  فرآیند تکراری اشاره شده  متوقف خواهد شد .
 Fragmentationو  Reassembly
زمانیکه یک بسته اطلاعاتی بسیار بزرگ به روتر می رسد  لایه IP قبل از ارسال آن را به بخش های کوچکتری تقسیم می نماید . فرآیند فوق  Fragmentation نامیده می شود.
تمامی بسته های اطلاعاتی کوچک در ادامه بر روی شبکه حرکت خواهند کرد . بسته های اطلاعاتی فوق ، حتی اگر بین چندین روتر حرکت نمایند  صرفا” در زمانیکه تمامی آنان به کامپیوتر مقصد رسیده باشند  مجددا” با یکدیگر ترکیب و شکل اولیه بسته اطلاعاتی ایجاد
 می گردد. فرآیند فوق  Reassembly نامیده می شود .
۲- ۶ : لایه IP در کامپیوتر مقصد
           زمانیکه یک بسته اطلاعاتی به کامپیوتر مقصد می رسد  لایه IP در کامپیوتر مقصد Checksum و آدرس IP مقصد آن را بررسی و در ادامه بسته اطلاعاتی در اختیار TCP و یا UDP قرار خواهد گرفت در نهایت  بسته اطلاعاتی بمنظور انجام پردازش نهائی و با توجه به شماره پورت موجود در اختیار برنامه مقصد قرار خواهد گرفت .

فصل ۲ : آشنائی با ابزارIPTables
          این شماره به معرفی یکی از ابزارهای قدرتمند تصفیه کننده بسته‌ها به‌ نام IPtables می‌پردازیم IPtables به عنوان نسل چهارم پیاده‌سازی شده از ابزارهای تصفیه کننده سیستم‌عامل لینوکس معرفی می‌شود این مقاله شامل بخش‌های زیر است.
•    معرفی سیستم‌ تصفیه کننده بسته‌ها
•    تاریخچه حفاظ‌های سیستم‌عامل لینوکس
•    زنجیرها جداول‌ و قوانین IPtables
•    قوانین IPtables
•    پیاده‌سازی چند سیاست ساده امنیتی
•    راه‌اندازی و استفاده از IPtables
•    جهت مطالعه بیشتر
•    مراجع
•    معرفی سیستم تصفیه کننده بسته‌ها
یک سیستم تصفیه‌کننده بسته‌ها (همان‌طور که از نامش پیداست) برای کنترل ترافیک ورودی و خروجی بسته‌ها بین یک شبکه داخلی و شبکه خارجی به‌ کار می‌رود. به کمک یک تصفیه کننده می‌توان:
۱٫    دسترسی به اینترنت از طریق بعضی ماشین‌ها را محدود کرد.
۲٫    ترافیک ناخواسته و نیز پویش‌های انجام شده از خارج را مسدود کرد.
۳٫    از امکان ترجمه آدرس‌های شبکه  استفاده کرد. به کمک NAT می‌توان تعداد زیادی از کامپیوترهای داخل شبکه را تنها با داشتن یک آدرس IP معتبر به شبکه خارجی متصل نمود.
۴٫    استفاده از کارگزار Proxy را از دید کاربران شفاف نمود(Redirect).
انواع سیستم‌های تصفیه کننده بسته‌ها
    سیستم‌های تصفیه کننده بسته‌ها به‌ طور کلی به دو نوع تقسیم می‌شوند:
۱٫    سیستم‌های بدون حالت : در این سیستم‌ها تصفیه هر بسته مستقل از بسته‌های دیگر و اینکه متعلق به چه ارتباطی است، صورت می‌گیرد.
۲٫    سیستم‌های مبتنی بر حالت : در این سیستم‌ها حافظه جداگانه‌ای تاریخچه هر ارتباطی که به آن وارد، خارج یا از آن می‌گذرد، را ثبت می‌کند. این ویژگی برای پیکربندی مؤثر FTP، DNS و سایر سرویس‌های شبکه ضروری می‌باشد. عموماً حفاظ‌های مبتنی بر حالت از نمونه‌های بدون حالت امن‌تر می‌باشند. چرا که با استفاده از آنها می‌توان مجموعه قوانین سخت‌تری برای کنترل ترافیک اعمال کرد.
تاریخچه
محصولات ارائه شده تحت عنوان تصفیه کننده بسته‌ها چهار نسل تکامل را پشت سر گذاشته‌اند:
•    IPFW: این نسخه یادآور اولین پشتیبانی لینوکس از سرویس تصفیه بسته‌ها می‌باشد که در داخل هسته ۱٫۲ لینوکس تعبیه شده بود. IPFW ویژگی‌های ابتدایی مورد انتظار از یک حفاظ را پیاده‌سازی کرده بود. بعضی از محدودیت‌های آن عبارت بودند از:
o    عمل تصفیه را تنها روی یک پورت انجام می‌داد
o    Mason از آن پشتیبانی نمی‌کرد
o    در محیط‌های توزیع شده قابل استفاده نبود.
o    مبتنی بر حالت نبود.
•    IPFWADM: در هسته ۲۰ لینوکس قرار داده شده است. تصفیه بسته‌ها را از روی آدرس درگاه‌های مبداء و مقصد انجام می‌داد و امکان مخفی‌سازی آدرس‌های IP ترجمه چند به یک) در آن قرار داده شده بود. با این وجود یک حفاظ مبتنی بر حالت نبود و تنها از قراردادهای TCP، UDP و ICMPپشتیبانی می‌کرد.
•    IPChains: در هسته ۲٫۲ لینوکس قرار داده شده بود. با وجود اینکه یک حفاظ مبتنی بر حالت نبود، ولی از زیرنوع‌های  ICMP و سایر قراردادها علاوه بر از TCP، UDP و ICMP پشتیبانی می‌کرد.
•    از هسته ۲٫۴ لینوکس به بعد IPtables به عنوان حفاظ پیش فرض لینوکس همراه با آن نصب می‌شد. IPtables  نسبت به حفاظ‌های نسل قبل خود چند تفاوت مهم داشت:
o    یک حفاظ مبتنی بر حالت بود.
o    از قرارداد اینترنت نسخه ۶٫۰ پشتیبانی می‌کرد.
o    از طراحی پیمانه‌ای  برخوردار بود.
o    علاوه بر جهش‌های فوق، با نسخه‌های دو نسل قبل خود، یعنی IPFWADM و ipchains مطابقت داشت. (Backward Compatibility)
جدول‌ها و زنجیرها در IPtables
         جدول  و زنجیر دو مفهوم اساسی در IPtables هستند که شناخت این ابزار و نحوه عملکرد آن و نوشتن قوانین مورد نظر مستلزم درک کامل این مفاهیم می‌باشد.
در IPtables جدول‌ها مجموعه‌ای از قوانین مرتبط را در برمی‌گیرند. این قوانین در ساختار دیگری تحت عنوان زنجیرها معنی پیدا می‌کنند. زنجیرها انواع نحوه عبور بسته‌ها از حفاظ را بیان می‌کنند. بسته به اینکه هر بسته در ورود، خروج یا عبور از حفاظ چه مسیری را بپیماید، بخشی از قوانین جدول‌ها روی آن اعمال می‌شود. نحوه اعمال قوانین جدول به این صورت است که بسته‌های رسیده با تک تک قوانین آن مقایسه می‌شوند و اولین قانونی که با شرایط بسته مطابق باشد، در مورد آن اعمال می‌شود. در غیر این صورت سیاست پیش فرض حفاظ روی آن اعمال می شود. (قبول یا دور ریخت ) .